| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: Trojan.Medbot-100 und Adware.BHO-13 FOUND, sagt ClamWinWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
17.10.2007, 14:32
| #1 | |||
| |  Trojan.Medbot-100 und Adware.BHO-13 FOUND, sagt ClamWin Hallo, dies ist das erste Mal, daß ich mich mit Computerschädlingen beschäftigen muß. Deshalb würde ich mich über Eure Hilfe sehr freuen. Hier die Ergebnisse der Scans, die ich bislang durchgeführt habe: Datei 4ex4.mhdd.exe Dies ist die Meldung von ClamWin Zitat:
Code:
ATTFilter Antivirus Ergebnis
AhnLab-V3 Win-Trojan/Horst.24576.F
AntiVir 7.6.0.23 TR/Spy.Mormail.1
Authentium 4.93.8 W32/Downloader.gen8
Avast 4.7.1051.0 Win32:Trojan-gen {UPX}
AVG 7.5.0.488 Proxy.EJY
BitDefender 7.2 Trojan.Proxy.Horst.EV
CAT-QuickHeal 9.00 -
ClamAV 0.91.2 Trojan.Medbot-100
DrWeb 4.44.0.09170 Trojan.Spambot
eSafe 7.0.15.0 suspicious Trojan/Worm
eTrust-Vet 31.2.5214 Win32/Boxed!generic
Ewido 4.0 Proxy.Horst.ev
FileAdvisor 1 -
Fortinet 3.11.0.0 W32/Horst.ZDY!tr
F-Prot 4.3.2.48 W32/Downloader.gen8
F-Secure 6.70.13030.0 Trojan-Proxy.Win32.Horst.ev
Ikarus T3.1.1.12 Trojan-Proxy.Win32.Horst.ev
Kaspersky 7.0.0.125 Trojan-Proxy.Win32.Horst.ev
McAfee 5141 BackDoor-CMQ
Microsoft 1.2908 TrojanProxy:Win32/Horst
NOD32v2 2594 probably a variant of Win32/Medbot.FE
Norman 5.80.02 W32/Horst.ANK
Panda 9.0.0.4 Trj/LootSeek.HF
Prevx1 V2 Malware.Gen
Rising 19.45.12.00 Trojan.Proxy.Horst.aiv
Sophos 4.22.0 Mal/Horst-D
Sunbelt 2.2.907.0 -
Symantec 10 Trojan.Lootseek.AV
TheHacker 6.2.8.093 Trojan/Proxy.Horst.ev
VBA32 3.12.2.4 MalwareScope.Trojan-Proxy.Horst.1
VirusBuster 4.3.26:9 -
Webwasher-Gateway 6.6.1 Trojan.Spy.Mormail.1
weitere Informationen
File size: 24576 bytes
MD5: 1df3f4c016169d2f18901f26d0b57bbd
SHA1: f30c631536ceb088046c67822e277f83aa694096
packers: UPX
packers: UPX
packers: UPX
Prevx info: h**p://fileinfo.prevx.com/fileinfo.asp?PX5=51E63905009BA581606D0019960B9600528C1010
Code:
ATTFilter c:/Dokumente und Einstellungen/Administrator/Lokale Einstellungen/Temp:
0 07-16 20:45 Acrobat Distiller 8
273 07-16 20:45 libFNP_events.log
0 07-16 20:45 WPDNSE
410 2006-08-10 jusched.log
0 2006-08-10 Acrobat Distiller 7
85470 2006-08-10 lnames.txt.cab
187993 2006-08-10 lnames.txt
28894 2006-08-10 fnames.txt.cab
88071 2006-08-10 fnames.txt
120055 2006-08-10 domains.txt.cab
358232 2006-08-10 domains.txt
51712 2006-08-10 setup.exe
43 2006-08-10 autorun.inf
49 2006-08-10 ssd32g.exe.conf
23040 2006-08-10 31exssd32g.exe
57344 2006-08-10 6ex1.modul32s.exe
48 2006-08-10 4.mhdd.exe.conf
52 2006-08-10 1.modul32s.exe.conf
49152 2006-08-10 tmp1.tmp
0 2006-03-12 Adobelm_Cleanup.0001.dir.0001
0 2006-03-12 Adobelm_Cleanup.0001.dir.0000
59964 2006-03-12 Adobelm_Cleanup.0001
Account genutzt wird, habe ich die leise Hoffnung, daß noch kein Schaden angerichtet wurde. Wie kann man das in Erfahrung bringen? Datei dmcpmpos_dll Auch hier lasse ich erst einmal ClamWin zu Wort kommen: Zitat:
Code:
ATTFilter Antivirus Ergebnis
AhnLab-V3 Win-Trojan/KorGameHack.9728
AntiVir 7.6.0.18 ADSPY/Stud.A.1
Authentium 4.93.8 -
Avast 4.7.1043.0 Win32:Trojano-3384
AVG 7.5.0.488 Adware Generic.LRH
BitDefender 7.2 Trojan.Downloader.6588.E
CAT-QuickHeal 9.00 AdWare.Stud.a (Not a Virus)
ClamAV 0.91.2 Adware.BHO-13
DrWeb 4.33 Trojan.DownLoader.6588
eSafe 7.0.15.0 suspicious Trojan/Worm
eTrust-Vet 31.2.5176 -
Ewido 4.0 Downloader.Small.cgu
FileAdvisor 1 -
Fortinet 3.11.0.0 W32/Small.CGU!tr
F-Prot 4.3.2.48 W32/Adware.PL
F-Secure 6.70.13030.0 -
Ikarus T3.1.1.12 not-a-virus:AdWare.Win32.Stud.a
Kaspersky 7.0.0.125 not-a-virus:AdWare.Win32.Stud.a
McAfee 5130 potentially unwanted program Adware-KeenValue
Microsoft 1.2803 Trojan:Win32/Webprefix
NOD32v2 2562 Win32/Adware.BHO.AA
Norman 5.80.02 W32/Stud.B
Panda 9.0.0.4 Adware/KeenValue
Prevx1 V2 -
Rising 19.43.00.00 Trojan.PSW.KorGame.i
Sophos 4.22.0 MapKon
Sunbelt 2.2.907.0 -
Symantec 10 Adware.Webprefix
TheHacker 6.2.6.075 Adware/Stud.a
VBA32 3.12.2.4 AdWare.Win32.Stud.a
VirusBuster 4.3.26:9 Adware.Stud.D.Gen
Webwasher-Gateway 6.0.1 Ad-Spyware.Stud.A.1
weitere Informationen
File size: 33954 bytes
MD5: 8db7546fca9deacfae4596842c0ec920
SHA1: d2cf434e4972bcfb6759ffbfc36a0ea2068100e3
Und dann noch das HJT Log: Code:
ATTFilter Logfile of HijackThis v1.99.1 Scan saved at 17:51:46, on 16.10.2007 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Ahead\InCD\InCDsrv.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\IVT Corporation\BlueSoleil\BTNtService.exe C:\Programme\Home Cinema\PowerCinema\Kernel\TV\CLCapSvc.exe C:\Programme\CyberLink\Shared Files\CLML_NTService\CLMLServer.exe C:\Programme\CyberLink\Shared Files\CLML_NTService\CLMLService.exe C:\WINDOWS\system32\Ati2evxx.exe C:\WINDOWS\Explorer.EXE C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe C:\WINDOWS\system32\RunDll32.exe C:\WINDOWS\Dit.exe C:\Programme\Home Cinema\PowerDVD\PDVDServ.exe C:\Programme\Home Cinema\PowerCinema\PCMService.exe C:\Programme\Java\jre1.6.0_02\bin\jusched.exe C:\Programme\Ahead\InCD\InCD.exe C:\WINDOWS\vsnpstd.exe C:\Programme\SUperior SU\swtchsvc.exe C:\Programme\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe C:\WINDOWS\system32\rundll32.exe G:\bin\ClamWin\bin\ClamTray.exe C:\WINDOWS\system32\ctfmon.exe C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe C:\WINDOWS\$NtUninstallKB911927$\IEXPLORE.EXE C:\Programme\NDAS\System\ndassvc.exe C:\WINDOWS\system32\svchost.exe C:\Programme\SUperior SU\susrvc.exe C:\Programme\Home Cinema\PowerCinema\Kernel\TV\CLSched.exe C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe C:\WINDOWS\system32\wscntfy.exe C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe G:\bin\HiJackThis\HijackThis.exe O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar3.dll O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll O2 - BHO: (no name) - {E37D767F-EADE-48BF-A717-ABED67DA3194} - C:\WINDOWS\system32\dmcpmpos.dll (file missing) O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar3.dll O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe O4 - HKLM\..\Run: [Verknüpfung mit der High Definition Audio-Eigenschaftenseite] HDAudPropShortcut.exe O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd O4 - HKLM\..\Run: [Dit] Dit.exe O4 - HKLM\..\Run: [RemoteControl] "C:\Programme\Home Cinema\PowerDVD\PDVDServ.exe" O4 - HKLM\..\Run: [PCMService] "C:\Programme\Home Cinema\PowerCinema\PCMService.exe" O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_02\bin\jusched.exe" O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [InCD] C:\Programme\Ahead\InCD\InCD.exe O4 - HKLM\..\Run: [snpstd] C:\WINDOWS\vsnpstd.exe O4 - HKLM\..\Run: [QuickTime Task] "G:\bin\MediaPlayerClassic\K-Lite Codec Pack\QuickTime\qttask.exe" -atboottime O4 - HKLM\..\Run: [IRAssistant] C:\Programme\Dusco\IRAssistant\IRAssistant.exe -noSplash O4 - HKLM\..\Run: [SUperior Switcher] C:\Programme\SUperior SU\swtchsvc.exe O4 - HKLM\..\Run: [Acrobat Assistant 8.0] "C:\Programme\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe" O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent O4 - HKLM\..\Run: [ClamWin] "G:\bin\ClamWin\bin\ClamTray.exe" --logon O4 - HKCU\..\Run: [NBJ] "C:\Programme\Ahead\Nero BackItUp\NBJ.exe" O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe O4 - HKCU\..\Run: [SeaMonkey Quick Launch] "g:\bin\mozilla.org\SeaMonkey\SeaMonkey.exe" -turbo O4 - Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe O4 - Startup: OpenOffice.org 2.0.lnk = G:\bin\OpenOffice\program\quickstart.exe O4 - Global Startup: Adobe Gamma Loader.lnk = ? O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE O4 - Global Startup: nxtvepg.lnk = C:\Programme\nxtvepg\nxtvepg.exe O8 - Extra context menu item: An vorhandenes PDF anfügen - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html O8 - Extra context menu item: Bild in &Microsoft PhotoDraw öffnen - res://C:\PROGRA~1\MICROS~2\Office\1031\phdintl.dll/phdContext.htm O8 - Extra context menu item: In Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html O8 - Extra context menu item: Web-Recherche: Bild speichern - res://C:\PROGRA~1\WEB-RE~1\wrshell.dll/#101 O8 - Extra context menu item: Web-Recherche: Bild speichern unter... - res://C:\PROGRA~1\WEB-RE~1\wrshell.dll/#108 O8 - Extra context menu item: Web-Recherche: Link-Adresse speichern unter... - res://C:\PROGRA~1\WEB-RE~1\wrshell.dll/#110 O8 - Extra context menu item: Web-Recherche: Markierte Ziele speichern unter... - res://C:\PROGRA~1\WEB-RE~1\wrshell.dll/#111 O8 - Extra context menu item: Web-Recherche: Markierung speichern - res://C:\PROGRA~1\WEB-RE~1\wrshell.dll/#104 O8 - Extra context menu item: Web-Recherche: Markierung speichern unter... - res://C:\PROGRA~1\WEB-RE~1\wrshell.dll/#109 O8 - Extra context menu item: Web-Recherche: Seitenbereich (Frame) speichern - res://C:\PROGRA~1\WEB-RE~1\wrshell.dll/#102 O8 - Extra context menu item: Web-Recherche: Seitenbereich (Frame) speichern unter... - res://C:\PROGRA~1\WEB-RE~1\wrshell.dll/#106 O8 - Extra context menu item: Web-Recherche: Ziel speichern - res://C:\PROGRA~1\WEB-RE~1\wrshell.dll/#103 O8 - Extra context menu item: Web-Recherche: Ziel speichern unter... - res://C:\PROGRA~1\WEB-RE~1\wrshell.dll/#107 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - G:\bin\WinHTTrack\WinHTTrack\WinHTTrackIEBar.dll O9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - G:\bin\WinHTTrack\WinHTTrack\WinHTTrackIEBar.dll O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O17 - HKLM\System\CCS\Services\Tcpip\..\{024A7E0B-E7C7-4C7F-BC0F-9FEE57B8A497}: NameServer = ***.***.***.***,***.***.***.*** O17 - HKLM\System\CCS\Services\Tcpip\..\{1202B693-A762-4FA1-B03F-66C3C3E7B71F}: NameServer = ***.***.***.*** O17 - HKLM\System\CCS\Services\Tcpip\..\{8DA96E7B-783B-4D98-9764-1EFF698DF765}: NameServer = ***.***.***.***,***.***.***.*** O17 - HKLM\System\CCS\Services\Tcpip\..\{8EFE4245-9A80-4D1F-9EE7-9B1106A5E7D5}: NameServer = ***.***.***.***,***.***.***.*** O17 - HKLM\System\CCS\Services\Tcpip\..\{94FBCFD7-D7BF-4209-A118-B4624F1D5427}: NameServer = ***.***.***.***,***.***.***.*** O18 - Protocol: biblioscape - (no CLSID) - (no file) O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Help\hxds.dll O20 - Winlogon Notify: suwlnfwd - C:\Programme\SUperior SU\suwlnfwd.dll O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe O23 - Service: BlueSoleil Hid Service - Unknown owner - C:\Programme\IVT Corporation\BlueSoleil\BTNtService.exe O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - C:\Programme\Home Cinema\PowerCinema\Kernel\TV\CLCapSvc.exe O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - C:\Programme\Home Cinema\PowerCinema\Kernel\TV\CLSched.exe O23 - Service: CyberLink Media Library Service - Cyberlink - C:\Programme\CyberLink\Shared Files\CLML_NTService\CLMLServer.exe O23 - Service: DirectX Service (DirectService) - Unknown owner - c:\windows\system32\directx.exe O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe O23 - Service: InCD Helper (InCDsrv) - Ahead Software AG - C:\Programme\Ahead\InCD\InCDsrv.exe O23 - Service: InCD Helper (read only) (InCDsrvR) - Ahead Software AG - C:\Programme\Ahead\InCD\InCDsrv.exe O23 - Service: ipc-daemon - Unknown owner - G:\cygwin\bin\cygrunsrv.exe O23 - Service: NDAS Service (ndassvc) - XIMETA, Inc. - C:\Programme\NDAS\System\ndassvc.exe O23 - Service: PostgreSQL Database Server 8.1 (pgsql-8.1) - PostgreSQL Global Development Group - g:\bin\PostgreSQL\8.1\bin\pg_ctl.exe O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing) O23 - Service: SUperior - Stefan Kuhr Software - C:\Programme\SUperior SU\susrvc.exe O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe Hierzu Zitat:
den Eintrag dort zu löschen? |
| Themen zu Trojan.Medbot-100 und Adware.BHO-13 FOUND, sagt ClamWin |
| administrator, antivirus, cyberlink, dll, einstellungen, erste mal, excel, explorer, frame, google, hijack, hijackthis, home, internet, internet explorer, konvertieren, launch, logfile, löschen, löschen?, markierung, moved, pdf, pdf-datei, programme, quara, registry, rundll, software, system, temp, virus, windows, windows xp |
Baum-Darstellung